¿Es legal el email en frío? LSSI, RGPD y CAN-SPAM

Este artículo es información general, no asesoramiento jurídico. Las normas de marketing y protección de datos varían según el país, cambian con el tiempo y dependen de las particularidades de tu negocio, tu base de contactos y tu mensaje. Antes de lanzar una campaña de email en frío a cualquier escala, pide a un abogado cualificado en cada mercado al que te dirijas que revise lo que piensas hacer.

«¿Es legal el email en frío?» es una pregunta mal planteada, porque la respuesta depende por completo de dónde está el destinatario. En España, un correo comercial no solicitado exige por regla general consentimiento previo. En Estados Unidos, ese mismo correo es lícito por defecto si eres honesto y ofreces una baja funcional. En Francia, el mismo mensaje a una dirección profesional sobre asuntos de esa función profesional suele admitirse con derecho de oposición. En Alemania, es casi con seguridad ilícito. Un mismo correo, cuatro resultados jurídicos distintos.

Esta guía repasa los principales regímenes en lenguaje claro: qué se aplica realmente al B2B, dónde están las excepciones, qué obligaciones de baja tienes y qué prácticas están en una zona gris real en lugar de ser claramente seguras.

España: LSSI-CE y RGPD, dos capas

En España se aplican dos normas a la vez y conviene no confundirlas, porque responden a preguntas distintas.

El RGPD (y la LOPDGDD que lo desarrolla) responde a si puedes tratar los datos de esa persona: recopilar un correo laboral nominativo, guardarlo en un CRM y usarlo para contactar son tratamientos y necesitan una base jurídica. En B2B la candidata habitual es el interés legítimo, reconocido en los considerandos del RGPD para marketing directo, siempre que superes un juicio de ponderación documentado y respetes la transparencia (artículo 14: informar de dónde obtuviste los datos) y el derecho de oposición, que en marketing directo es absoluto.

La LSSI-CE responde a otra pregunta: si puedes enviar. Como regla general prohíbe las comunicaciones comerciales por correo electrónico que no hayan sido previamente solicitadas o expresamente autorizadas, con una excepción relevante: cuando exista una relación contractual previa y el envío se refiera a productos o servicios similares a los ya contratados. Además exige que la comunicación sea claramente identificable como publicitaria, que se identifique al anunciante y que se ofrezca un procedimiento sencillo y gratuito para revocar el consentimiento. La AEPD es la autoridad competente y una sola reclamación basta para abrir actuaciones.

Hay un matiz muy debatido: si el destinatario es una persona jurídica y la dirección es genérica de empresa (info@, compras@), el RGPD no protege a la entidad como tal, aunque sí a cualquier persona física identificable detrás. Esto abre margen para el contacto profesional entre empresas, pero no es una vía libre: en España la posición práctica es más restrictiva que en Francia o Países Bajos, y las direcciones nominativas siguen siendo datos personales. Conviene además cribar contra la Lista Robinson, el fichero español de exclusión publicitaria.

Las dos familias de normas

Casi todas las jurisdicciones caen en uno de dos campos, y saber en cuál está un país te da la mayor parte de la respuesta.

• Regímenes de exclusión (opt-out). Puedes enviar un primer mensaje comercial sin permiso previo si te identificas honestamente, no disfrazas el mensaje y ofreces una forma funcional de dejar de recibirlos. Estados Unidos es el ejemplo más claro.
• Regímenes de consentimiento (opt-in). Necesitas una base lícita antes del primer mensaje: consentimiento expreso, una relación comercial previa o, en la UE, el interés legítimo combinado con la norma nacional. Alemania, Canadá y Rusia están en el extremo estricto.

Una segunda distinción atraviesa ambos campos: el tipo de dirección. Un buzón corporativo genérico suele tratarse con más flexibilidad que una dirección nominativa del tipo nombre.apellido@empresa.com, porque esta última es dato personal de una persona identificable en casi todas las leyes de protección de datos. En varios países esa distinción pesa más que la etiqueta B2B o B2C.

El resto de la Unión Europea: el RGPD no es toda la respuesta

El error más común es pensar que «cumplir el RGPD» resuelve Europa. Es solo la mitad. La Directiva ePrivacy regula específicamente las comunicaciones electrónicas no solicitadas y, al ser una directiva, cada Estado miembro la transpuso a su manera. Su regla por defecto es el consentimiento previo para el marketing por correo a personas físicas, con la excepción del cliente existente. Pero cada país decidió cómo tratar a las personas jurídicas, y decidieron distinto:

• Alemania es el mercado grande más estricto. El §7 UWG exige consentimiento previo expreso para la publicidad por correo, y la práctica alemana lo extiende también a destinatarios empresariales. Existe una excepción estrecha para clientes existentes con condiciones exigentes. El email en frío hacia Alemania sin consentimiento debe considerarse jurídicamente arriesgado.
• Francia adopta una línea más practicable para B2B. La posición publicada de la CNIL es que se puede contactar a un profesional en su dirección profesional sobre asuntos relativos a su función sin consentimiento previo, siempre que se le informe y se le dé un medio sencillo de oponerse.
• Países Bajos, Irlanda y Bélgica, entre otros, permiten el correo B2B a direcciones corporativas con derecho de baja, sujeto a condiciones locales. Italia aplica el RGPD de forma estricta y se acerca más a una postura de consentimiento.

Conclusión práctica: no existe una «norma europea» única. Si tu lista cubre ocho países, operas bajo ocho transposiciones nacionales. Segmentar por país y aplicar la regla más estricta de cada segmento es el único enfoque defendible de forma fiable.

Reino Unido tras el Brexit

El Reino Unido conservó un marco casi idéntico: UK GDPR más PECR. El requisito de consentimiento de PECR se aplica a los «abonados individuales», es decir consumidores, autónomos y la mayoría de las sociedades personalistas. Los correos a abonados corporativos (sociedades limitadas y organismos públicos) no exigen consentimiento previo, pero el UK GDPR sigue aplicándose a los datos de cualquier persona identificada, de modo que la transparencia y la atención a las oposiciones siguen siendo obligatorias.

Estados Unidos: CAN-SPAM

Es el mercado grande más permisivo y el peor entendido. CAN-SPAM no exige consentimiento previo, ni en B2C ni en B2B. Exige honestidad:

• Nada de cabeceras falsas o engañosas. De, Para, Responder a y la información de enrutamiento deben identificar correctamente al remitente.
• Nada de asuntos engañosos.
• Identificar el mensaje como publicidad cuando lo sea.
• Incluir una dirección postal física válida de tu empresa.
• Ofrecer un mecanismo de baja claro y funcional, operativo al menos 30 días tras el envío, sin exigir registro, pago ni más datos que el correo y las preferencias.
• Atender las bajas en 10 días hábiles y no vender ni transferir la dirección de quien se dio de baja.

Dos cosas que se olvidan. La responsabilidad alcanza a la empresa cuyo producto se promociona, no solo a la agencia que pulsó enviar. Y los estados tienen normas propias: la CCPA/CPRA de California regula los datos personales subyacentes aunque el envío cumpla CAN-SPAM.

Canadá: CASL, el más estricto

CASL se aplica a los mensajes electrónicos comerciales enviados a Canadá o accedidos desde allí, y se basa en el consentimiento. Necesitas consentimiento expreso (un opt-in registrado) o consentimiento implícito, que surge en situaciones limitadas: una relación comercial existente, que suele dar una ventana de dos años desde la operación o seis meses desde una consulta; o la publicación manifiesta de la dirección, es decir que esté publicada abiertamente sin indicación de no querer mensajes no solicitados y que tu mensaje sea pertinente para su función profesional. Ambas condiciones deben cumplirse.

Todo mensaje debe identificar al remitente, incluir datos de contacto válidos durante 60 días y una baja funcional atendida en 10 días hábiles. La carga de probar el consentimiento recae en quien envía: trata Canadá como mercado de consentimiento previo y guarda el motivo por contacto.

Más allá de Europa y Norteamérica

Brasil — LGPD

La LGPD se parece mucho al RGPD, incluida una base de interés legítimo y fuertes exigencias de transparencia. Brasil no tiene una ley antispam específica equivalente a CAN-SPAM; conviven el Código de Defensa del Consumidor y la autorregulación. El B2B apoyado en interés legítimo es viable en principio, pero debes poder explicar el origen de los datos, dar una baja clara y responder a las solicitudes de los titulares. La ANPD es cada vez más activa.

India — Ley DPDP

La Ley de Protección de Datos Personales Digitales de 2023 es estructuralmente más estricta que el RGPD en un punto: se articula sobre el consentimiento más una lista corta de «usos legítimos», y no contiene una base amplia de interés legítimo al estilo europeo. Los datos de contacto profesional de una persona identificada siguen siendo datos personales. El reglamento y la aplicación práctica se están desplegando por fases, así que las obligaciones exactas para marketing B2B todavía se están asentando. La lectura conservadora es apoyarse en consentimiento o en una relación previa documentada.

Emiratos Árabes Unidos y Arabia Saudí

La ley federal emiratí de protección de datos personales y la PDPL saudí están orientadas al consentimiento y abordan expresamente el marketing directo, exigiendo por lo general consentimiento y mecanismo de baja. Emiratos tiene además regímenes de zona franca (DIFC y ADGM) con sus propias leyes, de modo que la norma aplicable depende de dónde esté establecida la entidad destinataria. La tendencia regional es de endurecimiento.

Rusia

Se aplican dos leyes juntas. La Ley Federal 152-FZ regula los datos personales y exige una base —en la práctica, consentimiento— con obligaciones de localización de datos de ciudadanos rusos. Por separado, el artículo 18 de la Ley Federal «sobre Publicidad» prohíbe difundir publicidad por redes de telecomunicación sin consentimiento previo del abonado o destinatario, y coloca la carga de la prueba en el anunciante.

Australia

La Spam Act se basa en el consentimiento pero reconoce el consentimiento inferido cuando una dirección laboral está publicada de forma manifiesta y el mensaje es pertinente para la función de la persona, con una estructura parecida a la regla canadiense.

Dónde hay zona gris de verdad

Aquí vale más una respuesta honesta que una segura. Varias prácticas habituales no están claramente permitidas:

• Extraer masivamente direcciones nominativas de trabajo para destinatarios de la UE. El interés legítimo sostiene mal la recogida masiva, y «estaba disponible públicamente» no es por sí solo una base jurídica.
• Adivinar direcciones por patrón (deducir nombre.apellido@ de una convención). Creas datos personales por inferencia y no puedes alegar que estaban publicados: el riesgo es mayor.
• Si la información del artículo 14 cabe en el primer correo. La práctica común es una línea sobre el origen de los datos más un enlace a la política de privacidad; que eso agote la obligación en todos los casos no está resuelto de forma definitiva.
• Mensajes en LinkedIn y plataformas similares. La ley de datos rige los datos; las condiciones de la plataforma rigen tu cuenta y se aplican con independencia de la legalidad.
• Enriquecimiento automático de contactos extraídos. Combinar fuentes para perfilar a una persona aumenta la intrusividad del tratamiento y pesa en tu contra en la ponderación.

Si un proveedor te asegura que algo de esto es indiscutiblemente correcto en todas partes, eso es un argumento de venta, no una opinión jurídica.

Lista práctica de cumplimiento

Nada de esto hace imposible el contacto en frío: hace caro el contacto en frío descuidado. Lo siguiente aguanta en la mayoría de los regímenes:

1. Segmenta tu lista por país y aplica la regla más estricta de cada segmento. Una política global calibrada al mercado más permisivo es la vía típica al problema.
2. Prefiere direcciones corporativas genéricas (info@, ventas@, compras@) frente a nominativas en regímenes de consentimiento.
3. Identifícate por completo: nombre real del remitente, empresa real, dirección física real, asunto honesto.
4. Incluye una baja funcional en cada mensaje: un clic o una respuesta, sin registro, sin coste y sin formulario preguntando por qué.
5. Atiende las bajas rápido. El máximo legal suele ser 10 días hábiles; aspira a inmediato y automático.
6. Mantén una lista de supresión permanente que sobreviva a cambios de CRM, migraciones de herramientas y reimportaciones.
7. Registra el origen de cada contacto: de dónde salió la dirección, cuándo y por qué la considerabas pertinente. Con CASL, el RGPD o la LSSI, quien tiene que explicarse eres tú.
8. Di de dónde sacaste los datos en el primer mensaje y enlaza a un aviso de privacidad.
9. No uses direcciones personales extraídas en regímenes de consentimiento: Alemania, Canadá, India, el Golfo, Rusia.
10. Mantén volúmenes humanos. Los envíos pequeños y bien segmentados son más defendibles y más eficaces.

Buena parte de esa lista es simplemente buena práctica: una base limpia de empresas relevantes, con el origen registrado de cada contacto, se defiende mejor y responde más que un montón de direcciones extraídas a granel. Si construyes listas a partir de datos cartográficos, registros mercantiles y webs públicas de empresas, herramientas como JustLeadIt mantienen visible el origen de cada registro, que es justo lo que necesitas cuando alguien pregunta de dónde salieron sus datos.

Resumen

En España el correo comercial no solicitado exige por regla general consentimiento previo, con la excepción del cliente existente y productos similares. En Alemania es un no rotundo sin consentimiento. En Francia y Países Bajos el B2B profesional es practicable con derecho de oposición. En Estados Unidos es lícito siendo honesto y ofreciendo baja real. Canadá, India, el Golfo y Rusia se tratan como mercados de consentimiento previo. En todas partes, transparencia, baja funcional, supresión rápida y registro del origen de los datos son el mínimo, y en todas partes un abogado que conozca tu mercado vale más que un artículo, incluido este.